最常见原因是mysql user表中host字段与客户端实际ip或解析主机名不匹配，需用select user, host from mysql.user where user = 'your_user';确认配置，并通过grant新增匹配授权、flush privileges刷新缓存，同时检查bind-address、防火墙及dns解析问题。
MySQL user表里host字段没匹配上
这是最常见原因：你用的用户名在mysql.user表中，对应的host值是'localhost'，而远程客户端连接时，MySQL看到的是你的真实IP或主机名（比如'192.168.10.5'或'win-1b3uv78sfn3'），两者不一致，直接拒绝。
执行SELECT user, host FROM mysql.user WHERE user = 'your_user';就能确认当前配置。如果host不是'%'、具体IP，或能匹配你客户端地址的网段（如'192.168.10.%'），就必然报这个错。
- 不要直接
UPDATE mysql.user SET host = '%' WHERE user = 'root';——这会覆盖所有已有host记录，可能破坏本地管理权限 - 推荐用
GRANT语句新增一条授权，例如：GRANT ALL ON *.* TO 'myuser'@'192.168.10.5' IDENTIFIED BY 'pwd123'; - 改完必须执行
FLUSH PRIVILEGES;，否则内存缓存不会更新
bind-address绑定了127.0.0.1
MySQL默认只监听回环地址，意味着它根本收不到外部网络来的TCP连接请求——哪怕防火墙开了3306，也白搭。
检查当前监听状态：sudo ss -tlnp | grep :3306。如果输出只有127.0.0.1:3306，说明MySQL没对外暴露。
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
- 编辑
/etc/mysql/mysql.conf.d/mysqld.cnf（Ubuntu/Debian）或/etc/my.cnf（CentOS/RHEL） - 找到
[mysqld]段，把bind-address设为0.0.0.0（监听所有IPv4）或具体内网IP（如192.168.10.100） - 删掉
skip-networking这一行（如果存在），确保TCP/IP连接启用 - 改完必须重启服务：
sudo systemctl restart mysql
防火墙或云平台安全组拦住了3306
系统防火墙和云服务商的安全组是两道独立关卡，缺一不可。很多用户改完MySQL配置，却卡在这一步。
验证方式：从远程机器执行telnet your_mysql_ip 3306。如果超时或拒绝连接，基本就是网络层被拦了。
- Linux系统防火墙：
Ubuntu/Debian用sudo ufw allow 3306/tcp；
CentOS/RHEL用sudo firewall-cmd --permanent --add-port=3306/tcp && sudo firewall-cmd --reload - 云服务器（阿里云、腾讯云等）：必须在控制台的安全组规则里，手动添加入方向规则，协议TCP，端口3306，源IP建议限制为可信网段（如
192.168.10.0/24），而不是放行0.0.0.0/0 - 注意：即使
bind-address = 0.0.0.0且MySQL权限正确，只要这两层任一没开，都会表现为“连接超时”，而非“Host not allowed”
MySQL解析出的host名和你预期不一致
MySQL收到连接请求后，会尝试对客户端IP做反向DNS解析，得到主机名（比如win-1b3uv78sfn3）。如果DNS没配好，或者解析结果不稳定，就可能导致host字段匹配失败——你授权了'myuser'@'192.168.10.5'，但它实际看到的是'myuser'@'win-1b3uv78sfn3'。
- 临时绕过DNS解析：启动MySQL时加参数
--skip-name-resolve，或在my.cnf中[mysqld]下加skip-name-resolve，这样MySQL就只认IP，不查DNS - 但要注意：启用
skip-name-resolve后，GRANT语句里的host必须全用IP写，不能用主机名 - 生产环境若需保留主机名授权，应确保客户端IP有正向+反向DNS记录，且
/etc/hosts里有对应条目
真正卡住人的地方，往往不是单一配置，而是多层叠加：MySQL没监听外网 + 防火墙没开3306 + 用户host写死了localhost。每层都得单独验证，不能靠猜。
